noyb wint bij het HvJEU: Recht op informatie moet context bevatten - in sommige gevallen ook documenten en uittreksels uit databanken
Gisteren oordeelde het Hof van Justitie van de Europese Unie (HvJEU) dat gebruikers niet alleen een kopie van hun ruwe gegevens moeten krijgen, maar ook de context van de gegevens op een begrijpelijke manier. Dit kan ook de documenten omvatten die persoonsgegevens bevatten. De term "kopie" betekent een getrouwe en nauwkeurige weergave van de feitelijke gegevens.
Eenvoudige opsomming van ruwe gegevens of echte kopie? Het eerste juridische geschil betrof een verzoek om informatie op grond van artikel 15 van de GDPR aan het kredietinformatiebureau CRIF - dat noyb ook met succes heeft vervolgd voor andere schendingen van de gegevensbescherming. CRIF antwoordde de betrokkene slechts met een lijst van de over hem verwerkte gegevens. De betrokkene, die een kopie wilde van alle gegevens die op hem betrekking hadden, inclusief database-uittreksels, diende een klacht in bij de Oostenrijkse autoriteit voor gegevensbescherming. De zaak belandde uiteindelijk bij de Oostenrijkse federale administratieve rechtbank, die verschillende vragen voorlegde aan het HvJEU voor een prejudiciële beslissing over de reikwijdte van het recht om een "kopie van gegevens" te ontvangen onder artikel 15(3) GDPR.
GDPR vereist dat de gebruiker de verwerking begrijpt. In zijn uitspraak benadrukt het HvJEU dat het doel van de GDPR is om de rechten van betrokkenen te versterken en nauwkeurig te definiëren. Het recht op toegang is in deze context van bijzonder belang, omdat het betrokkenen in staat stelt om andere rechten uit te oefenen, zoals verwijdering, rectificatie of bezwaar - wat slechts in beperkte mate mogelijk zou zijn zonder kennis van de specifieke verwerkte gegevens.
Max Schrems:"We zijn blij dat het HvJEU het belang van het recht op toegang benadrukt. Zonder de context van de verwerking is het vaak onmogelijk voor betrokkenen om te begrijpen wat er over hen wordt opgeslagen."
Database uittreksels en documenten kunnen noodzakelijk zijn. Het is ook belangrijk dat het HvJEU benadrukt dat de verstrekte informatie in een context moet worden geplaatst. Het is niet voldoende als bedrijven alleen een lijst met ruwe gegevens sturen. De gegevens moeten volledig, in context en trouw aan het origineel aan de betrokkene worden verstrekt. Dit is vooral belangrijk voor gegevens die zijn gegenereerd uit andere gegevens - zoals in dit geval, waar kredietscores werden berekend op basis van de gegevens van de betrokkene. Hier zal het regelmatig essentieel zijn om uittreksels van documenten, volledige documenten of zelfs uittreksels van databanken te verstrekken, zoals het HvJEU benadrukt. Het is anders moeilijk voor de betrokkene om de werkelijke betekenis van de gegevens te begrijpen, maar ook als de gegevens gemanipuleerd, inconsistent of slechts gedeeltelijk verstrekt zijn.
Max Schrems:"De uitspraak maakt een einde aan de onwettige praktijk van het simpelweg verstrekken van een dump van gegevens zonder verdere uitleg. Vooral bij complexere verwerkingen moeten bedrijven ervoor zorgen dat de verwerkte gegevens volledig begrijpelijk zijn - indien nodig ook door een database-uittreksel of een kopie van documenten te verstrekken."
